Пароли и двухфакторная аутентификация в компании: практические правила

Надёжная защита учётных записей в компании держится на трёх опорах: длинные уникальные пароли в менеджере паролей, двухфакторная аутентификация (2FA) на всех важных сервисах и порядок выдачи и отзыва доступов. Сложные правила вроде «обязательно спецсимвол и смена каждый месяц» дают меньше, чем длинная парольная фраза плюс второй фактор. Ниже практические правила, которые я рекомендую внедрять и в маленькой фирме, и в команде на несколько десятков человек.

Какой должна быть парольная политика

Современные рекомендации (например, у NIST) отошли от идеи принудительной частой смены. Когда людей заставляют менять пароль каждый месяц, они делают Password1, затем Password2, и защита исчезает. Смена нужна, когда есть повод: подозрение на утечку, увольнение сотрудника, взлом сервиса.

Разумный набор правил:

• Длина важнее сложности. Пароль из 14-16 символов и более, лучше фраза из нескольких слов.
• Уникальность. Один пароль для одного сервиса. Именно повторное использование делает утечку из одного магазина проблемой для почты и бухгалтерии.
• Запрет очевидных вариантов: название компании, год, имя, qwerty, 123456. Хорошо, если система умеет сверять с перечнем известных скомпрометированных паролей.
• Хранение только в менеджере паролей, а не в блокноте, чате или таблице «Пароли.xlsx».
• Смена при инциденте, а не по календарю.

Если нужно проверить, как устроена безопасность в целом, пригодится статья про минимум информационной безопасности малого бизнеса.

Менеджер паролей: зачем и как внедрить

Человек не способен помнить десятки уникальных длинных паролей. Менеджер паролей решает это: сотрудник запоминает один мастер-пароль (длинную фразу), остальное генерируется и подставляется автоматически. Для компании важны ещё две вещи: общие хранилища для командных учётных записей и возможность отозвать доступ при уходе человека.

Что проверить при выборе:

1. Возможность общих папок с разграничением прав (кто видит, кто редактирует).
2. Журнал действий, чтобы понимать, кто и когда открывал запись.
3. Поддержка 2FA для самого менеджера.
4. Вариант размещения: облачный сервис или собственный сервер. Второй вариант требует администрирования, зато данные остаются у вас.
5. Простота для обычного сотрудника. Если неудобно, будут обходить.

Внедряйте поэтапно: сначала руководство и администраторы, затем отделы, которые работают с критичными системами. Старые пароли из таблиц и мессенджеров нужно удалить, иначе у вас будет два хранилища и ни одно не контролируется.

Двухфакторная аутентификация: какие бывают факторы

2FA означает, что для входа нужен пароль плюс второй независимый признак. Факторы различаются по надёжности:

• SMS-код. Лучше, чем ничего, но уязвим к перехвату номера и подмене SIM. Подходит, если других вариантов сервис не предлагает.
• Приложение-аутентификатор (TOTP). Одноразовые коды, которые генерируются на телефоне и обновляются каждые несколько десятков секунд. Не зависят от оператора связи, хорошая рабочая середина.
• Push-подтверждение. Удобно, но есть риск «усталости от уведомлений»: человек нажимает «подтвердить» не глядя. Нужно обучить: незапрошенное подтверждение отклоняется и сообщается администратору.
• Аппаратный ключ (FIDO2/U2F). Самый устойчивый к фишингу вариант, ключ проверяет адрес сайта. Для администраторов и руководителей стоит рассмотреть в первую очередь.
• Резервные коды. Выдаются при включении 2FA, хранятся в менеджере паролей или в сейфе. Без них потеря телефона превращается в многодневную проблему.

Принцип выбора: чем критичнее учётная запись, тем устойчивее фактор.

Где включать 2FA в первую очередь

Не обязательно включать всё в один день. Расставьте приоритеты по ущербу от взлома.

1. Корпоративная почта и почтовая панель администратора. Почта обычно открывает сброс паролей всех остальных сервисов.
2. Аккаунты администраторов: хостинг, регистратор домена, панель DNS, облачные консоли, серверы.
3. Бухгалтерские и банковские системы, личные кабинеты платёжных провайдеров.
4. Системы учёта и CRM, включая удалённый доступ к 1С.
5. Мессенджеры, привязанные к рабочим процессам, и социальные сети компании.
6. Репозитории кода, панели управления сайтом.

Про домен и почту отдельно: если потерять контроль над доменом, пострадает всё сразу. Как это связано с деловой почтой, я описывал в статье про домен, SSL и записи SPF, DKIM, DMARC.

Доступы сотрудников: приём, перевод, увольнение

Парольная политика бесполезна без процесса управления доступами. Самые частые провалы происходят не из-за слабого пароля, а из-за того, что у бывшего сотрудника остался доступ или общий пароль не меняли годами.

Минимальный регламент:

• Приём. Новому человеку заводятся личные учётные записи с нужными правами. Общих логинов, где это возможно, нет.
• Перевод. При смене должности права пересматриваются: лишние отзываются, а не накапливаются.
• Увольнение. В день ухода отключаются учётные записи, отзываются сессии и токены, меняются общие пароли, к которым человек имел доступ. Заранее составьте список систем, чтобы ничего не забыть.
• Регулярный пересмотр. Раз в квартал сверяйте, кто имеет доступ к критичным системам, и убирайте лишнее.

Принцип наименьших привилегий: сотрудник получает ровно столько прав, сколько нужно для работы. Администраторские права используются только для администрирования, а не для ежедневной почты и браузера.

Типичные ошибки при внедрении

За время работы с ИТ-инфраструктурой я вижу одни и те же промахи:

• Общий пароль на всю бухгалтерию или отдел продаж. Невозможно понять, кто что сделал, и нельзя отозвать доступ у одного.
• Пароли в переписке и на стикерах. Утечка одной переписки раскрывает всё.
• 2FA включена, а резервные коды нигде не сохранены. Потеря телефона блокирует работу.
• Одноразовый код приходит на личный телефон сотрудника, который затем уволился.
• Требования настолько жёсткие, что люди начинают записывать пароли на бумаге.
• Нет единого владельца процесса: каждый отдел делает по-своему.

Совет по внедрению: объясните сотрудникам зачем. Короткий инструктаж на 20-30 минут с живым примером фишингового письма действует лучше любой инструкции на десять страниц.

Фишинг: от чего пароль и 2FA не спасают

Даже двухфакторная защита не гарантирует безопасность, если человек сам вводит код на поддельной странице. Привычки, которые помогают:

• Проверять адрес сайта перед вводом пароля, особенно по ссылке из письма.
• Не вводить коды по просьбе «службы безопасности» по телефону или в чате.
• Сообщать о подозрительных письмах администратору, а не молча удалять.
• Не устанавливать расширения и программы из случайных источников.

Если ошибка случилась, важна скорость: сразу сменить пароль, отозвать сессии, сообщить ответственному и проверить, не появились ли правила пересылки в почте.

Как внедрить правила за несколько недель

Не пытайтесь переделать всё сразу. Рабочий порядок такой: сначала включить 2FA на почте и у администраторов, затем выбрать менеджер паролей и перевести в него руководителей, потом остальных сотрудников по отделам. Параллельно напишите короткую памятку на одну страницу: как создавать пароль, куда его сохранять, что делать при подозрении на взлом и к кому обращаться. Через месяц проверьте, у кого 2FA так и не включена, и разберите причины: чаще всего это неудобство или непонимание, а не саботаж. Раз в полгода повторяйте инструктаж, потому что приёмы мошенников меняются.

Что делать при подозрении на взлом

Заранее договоритесь о порядке действий и повесьте его там, где его найдут. Первое: сменить пароль с доверенного устройства и завершить все активные сессии. Второе: проверить почту на посторонние правила пересылки и подключённые приложения. Третье: оповестить ответственного за ИТ и проверить, куда ещё заходили с этой учётной записью. Четвёртое: сменить пароли в сервисах, где использовался тот же пароль. Ни в коем случае не наказывайте сотрудника за сообщение об ошибке, иначе в следующий раз о ней просто промолчат.

Частые вопросы

Нужно ли менять пароли каждые 90 дней?

Регулярная принудительная смена сегодня считается плохой практикой, если нет признаков компрометации. Лучше длинные уникальные пароли, 2FA и смена по событию: утечка, увольнение, подозрительная активность.

Достаточно ли SMS для двухфакторной аутентификации?

Это лучше, чем отсутствие второго фактора, но слабее приложения-аутентификатора и аппаратного ключа. Для критичных учётных записей лучше выбрать более надёжный способ, а SMS оставить как запасной.

Что делать, если сотрудник потерял телефон с аутентификатором?

Использовать резервные коды или процедуру восстановления, которую администратор определил заранее. Затем перенастроить 2FA на новое устройство и сменить пароль. Поэтому сохранение резервных кодов нужно предусмотреть сразу.

Можно ли хранить пароли в браузере?

Для личных задач это удобно, но для компании хуже управляется: нет общего контроля, сложно отозвать доступ, зависимость от учётной записи браузера. Менеджер паролей с корпоративным управлением предпочтительнее.

Если нужно выстроить такие правила в вашей компании, посмотрите, как я подхожу к ИТ-инфраструктуре и безопасности, либо опишите задачу в Telegram.